SQLインジェクションを防ぐにはどのような方法がありますか?

SQL インジェクションを防ぐ方法は何ですか。具体的なコード例が必要です。

SQL インジェクションは一般的なネットワーク セキュリティの脅威であり、攻撃者が悪意のある入力を作成して変更することを可能にします。 、データベース内のデータを削除または漏洩する。 SQL インジェクション攻撃を効果的に防止するには、開発者は一連のセキュリティ対策を講じる必要があります。この記事では、SQL インジェクションを防ぐために一般的に使用されるいくつかの方法を紹介し、対応するコード例を示します。

方法 1: パラメーター化されたクエリを使用する
パラメーター化されたクエリは、プレースホルダーを使用して実際のパラメーター値を置き換えることにより、SQL インジェクションの可能性を減らす方法です。以下は、パラメータ化されたクエリを使用する Python サンプル コードです。

import pymysql

# 建立数据库连接
conn = pymysql.connect(host='localhost', user='root', password='123456', db='mydb')

# 创建游标对象
cursor = conn.cursor()

# 执行参数化查询
username = input("请输入用户名：")
password = input("请输入密码：")
sql = "SELECT * FROM user WHERE username = %s AND password = %s"
cursor.execute(sql, (username, password))

# 获取查询结果
result = cursor.fetchall()

# 处理查询结果
if result:
    print("登录成功！")
else:
    print("用户名或密码错误！")

# 关闭游标和数据库连接
cursor.close()
conn.close()

方法 2: ORM フレームワークを使用する
ORM (オブジェクト リレーショナル マッピング) フレームワークは、データベース テーブルの操作をオブジェクト指向のメソッド呼び出しに効果的に変換できます。 SQL インジェクションの問題を効果的に回避します。

from sqlalchemy import create_engine
from sqlalchemy.orm import sessionmaker

# 建立数据库连接
engine = create_engine('mysql+pymysql://root:123456@localhost/mydb')
Session = sessionmaker(bind=engine)
session = Session()

# 执行查询
username = input("请输入用户名：")
password = input("请输入密码：")
result = session.query(User).filter_by(username=username, password=password).first()

# 处理查询结果
if result:
    print("登录成功！")
else:
    print("用户名或密码错误！")

# 关闭数据库连接
session.close()

方法 3: 入力の検証とフィルタリング
ユーザーが入力したデータの有効性を検証し、フィルタリングすることは、SQL インジェクションを防ぐための重要な手順です。以下は、簡単な PHP サンプル コードです。

<?php
$username = $_POST['username'];
$password = $_POST['password'];

// 验证输入的数据
if (!preg_match("/^[a-zA-Z0-9]{6,}$/", $username)) {
    die("用户名不合法！");
}

// 过滤特殊字符
$username = addslashes($username);
$password = addslashes($password);

// 执行查询
$sql = "SELECT * FROM user WHERE username = '$username' AND password = '$password'";
$result = mysqli_query($conn, $sql);

// 处理查询结果
if (mysqli_num_rows($result) > 0) {
    echo "登录成功！";
} else {
    echo "用户名或密码错误！";
}

// 关闭数据库连接
mysqli_close($conn);
?>

上記のコードでは、正規表現を使用して入力されたユーザー名を検証します。文字と数字のみが許可され、長さは 6 文字以上である必要があります。同時に、addslashes 関数を使用して入力データがフィルタリングされ、特殊文字がエスケープされるため、SQL インジェクションの可能性が回避されます。

要約すると、SQL インジェクション攻撃を防ぐために、開発者はパラメータ化されたクエリを採用し、ORM フレームワークを使用し、入力検証とフィルタリングを行うことができます。同時に、合理的な権限制御とシステム パッチの定期的な更新により、システムのセキュリティを効果的に向上させることもできます。

以上がSQLインジェクションを防ぐにはどのような方法がありますか?の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。